Risposta breve
Il GDPR stesso non cambia nel momento in cui vende anche a clienti all'estero. Il regolamento è un regolamento europeo, non una direttiva, e si applica pertanto direttamente e allo stesso modo in ogni Stato membro dell'UE e dello SEE. Ciò che invece differisce non si trova nel GDPR stesso ma nelle leggi nazionali che continuano ad esistere accanto ad esso, come le regole sui cookie, e in questioni pratiche come la lingua della vostra informativa sulla privacy e quale autorità di vigilanza contattate in caso di domanda o reclamo.
Per un negozio online che vende solo all'interno dei Paesi Bassi, questa distinzione spesso non è rilevante. Non appena avete visitatori o clienti in altri Paesi dell'UE, o al di fuori di essa, è bene sapere dove la base comune termina e dove entrano in gioco le regole nazionali o il trasferimento internazionale di dati.
Perché la base è la stessa ovunque
Poiché il GDPR è un regolamento, gli Stati membri non devono prima convertirlo in una propria normativa, come invece accade con una direttiva europea. I diritti degli interessati, i fondamenti del trattamento e l'obbligo di tenere un registro delle attività di trattamento si applicano quindi con lo stesso testo in Germania, Francia o Spagna come nei Paesi Bassi. Le differenze di interpretazione sorgono principalmente perché le autorità di vigilanza in diversi Paesi a volte enfatizzano diversamente nei loro orientamenti, cosa che si ritrova nelle pubblicazioni dell'EDPB e delle stesse autorità di vigilanza nazionali.
Dove invece differisce: cookie e tecniche simili
Il posizionamento di cookie e tecniche simili sul computer di un visitatore non rientra nel GDPR, ma nelle regole sulla privacy elettronica. Queste sono stabilite in Europa in una direttiva, e una direttiva deve essere recepita in ogni Paese in una normativa nazionale. Per questo motivo il modo in cui il consenso ai cookie deve essere richiesto e registrato può differire nei dettagli tra i Paesi, anche se il presupposto è ovunque comparabile. Per un negozio online che si rivolge a più Paesi, questo è uno dei pochi posti dove le regole effettivamente differiscono da Paese a Paese, e non solo nell'interpretazione.
Lingua e obbligo informativo
Il GDPR stabilisce che le informazioni agli interessati devono essere comprensibili, ma non fornisce un elenco fisso di lingue obbligatorie. In pratica, le autorità di vigilanza guardano a chi visita il vostro negozio online: se vi rivolgete attivamente a clienti in Germania, un'informativa sulla privacy in tedesco è ovvia, semplicemente perché altrimenti le informazioni non sarebbero comprensibili per quel pubblico. Non si tratta di una regola legale separata per Paese, ma di un'applicazione pratica dello stesso obbligo che vale ovunque.
Trattamento transfrontaliero e l'autorità di vigilanza competente
Quando la vostra azienda è attiva in più Paesi dell'UE, può sorgere la questione di quale autorità di vigilanza è competente se qualcosa va storto. Il GDPR prevede per questo il cosiddetto meccanismo one-stop-shop: le aziende con sedi in più Stati membri si trovano in determinati casi di fronte a un'unica autorità di vigilanza capofila, solitamente quella del Paese in cui ha sede il principale stabilimento. Per una piccola azienda con solo una sede nei Paesi Bassi che vende incidentalmente a clienti stranieri, la situazione è diversa rispetto a un'azienda con più sedi nell'UE. L'esatta attuazione di questo è descritta nel GDPR stesso e negli orientamenti dell'EDPB; per la vostra situazione specifica, questa è una questione per un avvocato o l'autorità di vigilanza competente, non qualcosa che dobbiate valutare da soli.
Vendita al di fuori dell'UE e dello SEE
Un'altra questione sorge quando i dati dei clienti escono dall'area dell'UE e dello SEE, ad esempio perché un fornitore, un provider di pagamento o un hosting provider si trova al di fuori dell'Europa. In questo caso non si tratta più di differenze tra i paesi dell'UE, ma delle regole sul trasferimento dei dati personali verso un paese esterno. Il RGPD lo consente a determinate condizioni, come una decisione di adeguatezza della Commissione europea per il paese in questione, oppure accordi supplementari come le clausole contrattuali tipo. Questo è uno dei punti per i quali un accordo di trattamento dei dati con una parte estera merita attenzione particolare, e su cui la banca dati per argomento spiega il contesto.
Cosa significa per il vostro registro e i vostri documenti
Per il registro delle attività di trattamento stesso non cambia nulla nell'obbligo: documentate quali trattamenti avvengono, con quale scopo e su quale base giuridica, indipendentemente dal paese in cui si trovano i vostri clienti. Ciò che è prudente documentare è se e dove i dati escono dall'area dell'UE e dello SEE, in modo che questo rimanga trasparente se un cliente, un'autorità di vigilanza o un assicuratore lo chiedono. Chi vuole avere il controllo su questo senza doverlo aggiornare manualmente, può farsi monitorare in la panoramica di dove si trovano i dati e come sono protetti.
Che il vostro negozio online stia iniziando a vendere oltre confine o lo faccia da più tempo, la cosa principale è distinguere tra ciò che il RGPD stesso regola e ciò che dipende dalle leggi nazionali o dal trasferimento fuori dall'Europa. Le risposte alle domande più frequenti su questo argomento, inclusa la fonte nel testo ufficiale, le trovate in raccolta di domande frequenti.
Volete sapere come funziona per la vostra azienda, senza dovervi dedicare un pomeriggio intero? Con la scansione rapida gratuita ricevete una prima indicazione e potete poi valutare voi stessi se un account aziendale è utile per voi.